Informationen zur Anwendung von Dateiverzeichnisrichtlinien, die lokale SMB-Benutzer oder -Gruppen auf dem ONTAP SVM Disaster Recovery-Ziel verwenden
Änderungen vorschlagen
PDFs
Bestimmte Richtlinien sind zu beachten, bevor Dateiverzeichnisrichtlinien auf der Storage Virtual Machine (SVM) Disaster Recovery Ziel in einer ID Discard Konfiguration angewendet werden, wenn die Dateiverzeichnisrichtlinienkonfiguration lokale Benutzer oder Gruppen entweder im Sicherheitsdeskriptor oder in den DACL- oder SACL-Einträgen verwendet.
Eine Disaster Recovery-Konfiguration kann für eine SVM eingerichtet werden, bei der die Quell-SVM im Quell-Cluster die Daten und die Konfiguration von der Quell-SVM auf eine Ziel-SVM in einem Ziel-Cluster repliziert.
Es stehen zwei Arten der SVM-Notfallwiederherstellung zur Verfügung:
-
Identität gewahrt
Bei dieser Konfiguration bleibt die Identität der SVM und des CIFS-Servers erhalten.
-
Identität verworfen
Bei dieser Konfiguration bleibt die Identität der SVM und des CIFS-Servers nicht erhalten. In diesem Szenario unterscheiden sich die Namen der SVM und des CIFS-Servers auf der Ziel-SVM von den Namen der SVM und des CIFS-Servers auf der Quell-SVM.
Richtlinien für verworfene Identitätskonfigurationen
In einer Konfiguration mit verworfener Identität muss für eine SVM-Quelle, die lokale Benutzer-, Gruppen- und Berechtigungskonfigurationen enthält, der Name der lokalen Domäne (lokaler CIFS-Servername) so geändert werden, dass er mit dem CIFS-Servernamen auf der SVM-Ziel übereinstimmt. Beispielsweise, wenn der Name der Quell-SVM „vs1“ und der CIFS-Servername „CIFS1“ ist, und der Name der Ziel-SVM „vs1_dst“ und der CIFS-Servername „CIFS1_DST“ ist, wird der lokale Domänenname für einen lokalen Benutzer mit dem Namen „CIFS1\user1“ auf der Ziel-SVM automatisch in „CIFS1_DST\user1“ geändert:
cluster1::> vserver cifs users-and-groups local-user show -vserver vs1_dst Vserver User Name Full Name Description ------------ ------------------------ -------------- ------------- vs1 CIFS1\Administrator Built-in administrator account vs1 CIFS1\user1 - - cluster1dst::> vserver cifs users-and-groups local-user show -vserver vs1_dst Vserver User Name Full Name Description ------------ ------------------------ -------------- ------------- vs1_dst CIFS1_DST\Administrator Built-in administrator account vs1_dst CIFS1_DST\user1 - -
Obwohl lokale Benutzer- und Gruppennamen in den lokalen Benutzer- und Gruppendatenbanken automatisch geändert werden, werden lokale Benutzer- oder Gruppennamen in Dateiverzeichnisrichtlinienkonfigurationen (Richtlinien, die auf der CLI mit der vserver security file-directory Befehlfamilie konfiguriert werden) nicht automatisch geändert.
Wenn beispielsweise für “vs1” ein DACL-Eintrag konfiguriert wurde, bei dem der -account Parameter auf “CIFS1\user1” gesetzt ist, wird die Einstellung auf der Ziel-SVM nicht automatisch geändert, um den Namen des CIFS-Servers des Ziels widerzuspiegeln.
cluster1::> vserver security file-directory ntfs dacl show -vserver vs1
Vserver: vs1
NTFS Security Descriptor Name: sd1
Account Name Access Access Apply To
Type Rights
-------------- ------- ------- -----------
CIFS1\user1 allow full-control this-folder
cluster1::> vserver security file-directory ntfs dacl show -vserver vs1_dst
Vserver: vs1_dst
NTFS Security Descriptor Name: sd1
Account Name Access Access Apply To
Type Rights
-------------- ------- ------- -----------
**CIFS1**\user1 allow full-control this-folder
Es sind die vserver security file-directory modify Befehle zu verwenden, um den CIFS-Server-Namen manuell in den Namen des Ziel CIFS-Servers zu ändern.
Datei Verzeichnis-Richtlinienkonfigurationskomponenten, die Kontoparameter enthalten
Es gibt drei Konfigurationskomponenten für Datei-Verzeichnisrichtlinien, die Parametereinstellungen verwenden können, die lokale Benutzer oder Gruppen enthalten können:
-
Sicherheitsdeskriptor
Optional kann der Besitzer des Sicherheitsdeskriptors und die primäre Gruppe des Besitzers des Sicherheitsdeskriptors angegeben werden. Wenn der Sicherheitsdeskriptor einen lokalen Benutzer oder eine lokale Gruppe für die Einträge Besitzer und primäre Gruppe verwendet, muss der Sicherheitsdeskriptor so geändert werden, dass im Kontonamen die Ziel-SVM verwendet wird. Mit dem
vserver security file-directory ntfs modifyBefehl können alle erforderlichen Änderungen an den Kontonamen vorgenommen werden. -
DACL-Einträge
Jeder DACL-Eintrag muss einem Konto zugeordnet sein. Alle DACLs, die lokale Benutzer- oder Gruppenkonten verwenden, sind so zu ändern, dass sie den Ziel-SVM-Namen verwenden. Da der Kontoname für bestehende DACL-Einträge nicht geändert werden kann, sind alle DACL-Einträge mit lokalen Benutzern oder Gruppen aus den Sicherheitsdeskriptoren zu entfernen, neue DACL-Einträge mit den korrigierten Zielkontonamen zu erstellen und diese neuen DACL-Einträge den entsprechenden Sicherheitsdeskriptoren zuzuordnen.
-
SACL-Einträge
Jeder SACL-Eintrag muss einem Konto zugeordnet sein. Alle SACLs, die lokale Benutzer- oder Gruppenkonten verwenden, sind so zu ändern, dass sie den Ziel-SVM-Namen verwenden. Da der Kontoname für bestehende SACL-Einträge nicht geändert werden kann, sind alle SACL-Einträge mit lokalen Benutzern oder Gruppen aus den Sicherheitsdeskriptoren zu entfernen, neue SACL-Einträge mit den korrigierten Zielkontonamen zu erstellen und diese neuen SACL-Einträge den entsprechenden Sicherheitsdeskriptoren zuzuordnen.
Alle notwendigen Änderungen an den lokalen Benutzern oder Gruppen, die in der Dateiverzeichnisrichtlinienkonfiguration verwendet werden, sind vorzunehmen, bevor die Richtlinie angewendet wird; andernfalls schlägt der Anwendungsvorgang fehl.